logesh-git001/cve-2025-55182"巧妙に細工された1つのHTTPリクエストで、サーバー全体が侵害される可能性があります。" — React Security Team, 2025年12月
深刻度: CRITICAL | CVSS v3.1: 10.0 (最大) | ステータス: 活発に悪用中
React2Shell は、React Server Components (RSC) — React が Web アプリの一部をブラウザではなくサーバー上で実行できるようにする最新機能 — における重大なセキュリティ脆弱性です。
この欠陥により、インターネット上のあらゆる攻撃者は — ログイン不要、特別なアクセス権なし、システムに関する事前知識も一切不要で — 単一の悪意ある HTTP リクエストをサーバーに送信し、任意のコードをサーバー上で実行できます。つまり、データの窃取、マルウェアのインストール、ランサムウェアによるファイルのロック、サーバー全体の乗っ取りが可能になります。
例えるなら、サーバーには信頼できる訪問者にだけ開くはずのドアがあるのに、特定の方法でノックするだけで誰でも入れてしまう、という状況です。
| プロパティ | 値 |
|---|---|
| CVE ID | CVE-2025-55182 (React2Shell とも呼ばれる) |
| 深刻度 | Critical — リモートコード実行 (RCE) |
| CVSS v3.1 スコア | 10.0 / 10.0 (最大値) |
| CVSS v4 スコア | 9.3 / 10.0 |
| 脆弱性タイプ | CWE-502 — 信頼できないデータのデシリアライゼーション |
| 攻撃手法 | 単一の HTTP POST リクエスト、認証は不要 |
| 発見者 | Lachlan Davidson (セキュリティ研究者) |
| 開示日 | 2025年12月3日 |
| エクスプロイト状況 | 公開エクスプロイトが利用可能 — 攻撃者によって活発に使用中 |
| 関連 CVE | CVE-2025-66478 (Next.js — 重複として確認済み) |
react-server-dom-webpack — versions 19.0.0, 19.1.0, 19.1.1, 19.2.0 react-server-dom-parcel — versions 19.0.0, 19.1.0, 19.1.1, 19.2.0 react-server-dom-turbopack — versions 19.0.0, 19.1.0, 19.1.1, 19.2.0
### 影響を受けるフレームワーク
| Framework / Tool | Affected Scope |
|----------------------------|----------------------------------------------------|
| **Next.js 15.x – 16.x** | App Router のみ — Pages Router は **影響を受けません** |
| **React Router RSC** | 不安定版 / プレビューチャンネルのみ |
| **Redwood SDK** | RSC モードのみ |
| **Waku** | RSC が有効なすべてのバージョン |
| **Expo** | RSC プレビュービルドのみ |
| **Vite RSC Plugin** | すべてのインテグレーション |
| **Parcel RSC Plugin** | すべてのインテグレーション |
| **任意のカスタム RSC セットアップ** | RSC Flight 逆シリアル化を使用する任意のサーバー |
> ⚠️ **重要:** Server Actions や Server Functions を明示的に使用していなくても、アプリで React Server Components が有効になっている限り、脆弱です。
> ✅ **影響を受けません:** Pages Router のみを使用するアプリ、またはサーバーサイド React を一切使用しないアプリ。
---
## なぜこれほど危険なのか？
React2Shell が非常に深刻な理由は3つあります：
1. **認証は不要。** インターネット上の誰でもこの攻撃を試みることができます。アカウント、トークン、事前のアクセス権は一切必要ありません。
2. **デフォルトインストールで機能します。** `create-next-app` で作成したばかりの Next.js アプリ — カスタム設定ゼロ — は、すぐに悪用可能です。開発者は何も間違ったことをする必要はありません。
3. **ほぼ100%の信頼性。** セキュリティ研究者は、このエクスプロイトが未パッチのサーバーに対してほぼ毎回機能することを確認しています。
---
## 攻撃はどのように機能するのか？
### 根本原因 — 平易に説明すると
React サーバーがクライアントからデータを受け取ると、そのデータを処理（逆シリアル化）して、次に何をすべきかを判断します。問題は、React がそのデータが安全かどうか、または正当かどうかを**一切チェックしない**ことです — 到着したものを盲目的に信頼します。
攻撃者は、サーバー上の内部 JavaScript の動作を乗っ取る特別に細工されたデータを送信することでこれを悪用し、最終的に任意のコードを注入・実行できるようにします。
### 技術的な説明
このエクスプロイトは **プロトタイプ汚染** と呼ばれる技法を使用します：
1. 攻撃者は、任意の RSC エンドポイントに細工された HTTP POST リクエストを送信します（特別な URL は不要です）。
2. React Flight Protocol パーサーは、構造的な検証を行わずにペイロードを処理します。
3. 悪意のあるペイロードは `Object.prototype.then` を汚染します — これは他のすべてのオブジェクトが継承する基本的な JavaScript オブジェクトです。
4. これにより、攻撃者は JavaScript の `Function` コンストラクタにアクセスできます。
5. 攻撃者は `Function` コンストラクタを使用して、Node.js サーバープロセスとして任意のコードを実行します。```
Step 1 — Attacker sends crafted HTTP POST
↓
Step 2 — React deserializes payload blindly
↓
Step 3 — Object.prototype.then is hijacked (prototype pollution)
↓
Step 4 — Function constructor is accessed
↓
Step 5 — Attacker's code runs on the server
↓
Step 6 — Attacker has full server control
// This is a simplified version of the vulnerable code path inside React function parseFlightRequest(req) { const flight = req.body;
// ❌ NO validation — the server trusts whatever arrives
const decoded = dangerousDeserialize(flight); // Attack happens here
// If the attacker controls decoded.action → RCE
return executeServerReference(decoded.action);
}
### 攻撃の様子```http
POST /?flight=1 HTTP/1.1
Content-Type: text/plain
{
"status": "resolved_model",
"$1:__proto__:then": "node:process.mainModule.require('child_process').execSync('id > /tmp/rce')",
"_formData.get": "$1:constructor:constructor"
}
Input content for chunk 9 is missing — no text was provided after "INPUT:". Please re-send the chunk content so it can be translated into Japanese.```bash
curl -X POST https://target.com/react?flight=1
-H "Content-Type: text/plain"
--data '["$ACTION_REF","proto","constructor","<attacker_payload>"]'
> 🚫 **法的警告:** 所有していないシステム、または明示的な書面によるテスト許可を得ていないシステムに対しては、これを使用しないでください。
---
## 修正済みバージョン — 今すぐパッチを適用
### React RSC パッケージ
| パッケージ | パッチ適用済みバージョン |
|------------------------------|------------------------------|
| `react-server-dom-webpack` | 19.0.1, 19.1.2, **19.2.1+** |
| `react-server-dom-parcel` | 19.0.1, 19.1.2, **19.2.1+** |
| `react-server-dom-turbopack` | 19.0.1, 19.1.2, **19.2.1+** |
> 💡 **推奨事項:** 関連する二次的な脆弱性 (CVE-2025-55183、CVE-2025-55184、CVE-2025-67779) も修正するには、**19.2.3** にアップグレードしてください。
### Next.js
| お使いのバージョン | アップグレード先 |
|--------------|-------------|
| 13.x / 14.x | **14.2.35** |
| 15.0.x | **15.0.5** |
| 15.1.x | **15.1.9** |
| 15.2.x | **15.2.6** |
| 15.3.x | **15.3.6** |
| 15.4.x | **15.4.8** |
| 15.5.x | **15.5.7** |
| 16.0.x | **16.0.7** |
---
## 自分を守る方法 — ステップバイステップ
以下の手順を**順番どおりに**実行してください。ステップ 1 と 2 は必須です。残りは防御の追加レイヤーとなります。
### ステップ 1 — React パッケージのアップグレード (最も重要)```bash
# Check your current version
npm list react-server-dom-webpack
# Upgrade to the latest patched version
npm install react-server-dom-webpack@latest
npm install react-server-dom-parcel@latest
npm install react-server-dom-turbopack@latest
npm install next@X
### Step 3 — WAF 保護を追加 (多層防御)
| Cloud Provider | 必要なアクション |
|----------------------|-------------------------------------------------------------------------------------------|
| **AWS WAF** | `AWSManagedRulesKnownBadInputsRuleSet` v1.24+ を有効化 — React2Shell ルールが含まれます |
| **AWS Network Firewall** | Active Threat Defense マネージドルールを有効化 (MadPot 経由で自動更新) |
| **Google Cloud Armor** | コンソールから React2Shell ルールセットをデプロイ |
| **Cloudflare** | WAF ルール `react2shell-cve-2025-55182` — Pro+ プランでは自動適用 |
> ⚠️ **WAF ルールだけでは不十分です。** すべてのペイロードの亜種をブロックできるわけではありません。パッケージへのパッチ適用だけが完全な修正方法です。
### Step 4 — すぐにパッチを適用できない場合
- サーバー上の **RSC Flight エンドポイント**を一時的に**無効化**します。
- これにより、パッチを適用できるまでの間、攻撃対象領域を減らせます。
### Step 5 — すでに攻撃されたか確認する
- パッチ適用日より前に RSC/flight エンドポイントへ送信された不審な POST リクエストがないか、**サーバーログを監査**します。
- 不審なアウトバウンド接続、新しいユーザーアカウント、想定外のプロセスを探します。
### Step 6 — 侵害を前提とした対策
- **すべてのシークレットをローテーション** — API キー、データベース認証情報、セッショントークン、環境変数。
- 脆弱なバージョンを実行していたサーバーはすべて、侵害されている可能性があるものとして扱います。
---
## 実世界の攻撃活動
### 規模 (2026年4月時点)
| 指標 | 数値 |
|--------------------------|-------------------------------------|
| 総攻撃セッション数 | **810万以上** (GreyNoise) |
| 1日あたりの攻撃量 | **30万〜40万** リクエスト/日 |
| ピーク時の1日あたりの量 | **43万以上** (2025年12月下旬) |
| 攻撃元のユニーク IP | **8,163** (101か国にわたり) |
| 初回感染までの時間 | サーバー公開後 **2分** |
AWS だけで、観測された攻撃者インフラの3分の1以上を占めています。つまり攻撃者は、これらの攻撃を大規模に実施するために、主にクラウドホスト型サーバーから活動しているということです。
### 誰が攻撃しているのか？
この脆弱性を悪用していることが確認された、複数の異なる脅威アクターグループ:
**中国関連 (国家支援)**
- **Earth Lamia** (Google では UNC5454 としても追跡) — 中国国家安全部 (MSS) との関連が指摘されている
- **Jackpot Panda** — AWS と Google の各脅威インテリジェンスチームによって特定されている
- 他の最近の脆弱性に対する並行悪用も同時に実施している
**イラン関連**
- 2025年12月に Google GTIG によって観測されたイラン関連のアクター
**北朝鮮 (DPRK)** ⚠️ *新規 — 2026年1月*
- **Contagious Interview** キャンペーンに関連する指標 (ソフトウェア開発者を標的とした、DPRK による長期的な作戦)
- **EtherRAT** を展開 — **ブロックチェーン基盤のコマンド&コントロール (C2) インフラ**を利用する新しいバックドア。標準的な IP/ドメインブロックでは阻止が非常に困難
**サイバー犯罪者 / 金銭目的の攻撃者**
- React2Shell を初期アクセスに使用するランサムウェア事業者が確認 ⚠️ *新規 — 2026年12月*
- 初期悪用から **1分未満** でランサムウェアが展開された事例が少なくとも1件記録されている
- 日和見的なキャンペーンで暗号通貨マイニング (XMRig) が広く展開されている
### 実環境で観測されたマルウェア
| マルウェア / ツール | 機能 | 使用者 |
|-----------------------------------|---------------------------|----------------------------------|
| SNOWLIGHT | 追加のマルウェアをダウンロード | Earth Lamia (中国) |
| MINOCAT | 隠しトンネルを作成 | Earth Lamia (中国) |
| HISONIC | 永続化のためのバックドア | Earth Lamia (中国) |
| COMPOOD | 再起動後も生存 | Earth Lamia (中国) |
| **EtherRAT** ⚠️ *新規* | ブロックチェーン C2 バックドア | DPRK / Contagious Interview |
| XMRig | 暗号通貨をマイニング | 複数のグループ |
| Cobalt Strike | リモートコントロールフレームワーク | "emerald" および "nuts" キャンペーン |
| Sliver / Nezha | C2 フレームワーク | "emerald" キャンペーン |
| Fast Reverse Proxy (FRP) | ネットワークトンネリング | 複数のグループ |
| Secret-Hunter | 認証情報を窃取 | "nuts" キャンペーン |
| Mirai / Rondo botnets | DDoS / 永続化 | 日和見的なアクター |
| MeshAgent (RMM ツール) | リモート管理 | 複数のグループ (永続化) |
| **インメモリ Next.js ウェブシェル** ⚠️ *新規* | ステルス性の高い永続化 | 複数のアクター (GTIG 確認済み) |
> 💡 **インメモリウェブシェルとは？** サーバーメモリ内だけで完全に動作するバックドアです。ディスク上にファイルを残さないため、標準的なウイルス対策ソフトやファイルスキャンツールでの検出が極めて困難です。
> 💡 **ブロックチェーン基盤の C2 とは？** 通常の IP アドレスやドメイン (ブロック可能) を介して攻撃者サーバーへ接続する代わりに、EtherRAT はブロックチェーンのトランザクションからコマンドを受け取ります。ブロックチェーンは分散型システムであるため、簡単に停止・ブロックすることはできません。
---
## 検出ツール
### Microsoft Defender for Cloud
セキュリティエクスプローラーギャラリーでは、2つの専用テンプレートが利用できます:
- *React2Shell — CVE-2025-55182 の影響を受けるコンテナイメージを実行する、インターネット公開されたコンテナ*
- *React2Shell — CVE-2025-55182 の影響を受ける、インターネット公開された仮想マシン*
Microsoft Security Exposure Management は、クラウドインフラ全体にわたる React2Shell の攻撃経路も自動的にマッピングします。
### GreyNoise
すぐに使用できるブロックテンプレートが利用可能です: **React Server Components Unsafe Deserialization CVE-2025-55182 RCE Attempt**
攻撃者の完全なフィンガープリントデータセット (ASN、JA4T、JA4H) が公開されています:```
github.com/GreyNoise-Intelligence/gn-research-supplemental-data/tree/main/2026-01-06-react2shell
Runtime Vulnerability Analytics を使用し、CVE-2025-55182 でフィルタリングして、環境内の脆弱な React または Next.js パッケージを特定します。
開示後、オンライン上で約 145 個の偽造・非機能エクスプロイトツール が出回りました。その多くは AI によって生成されたものです。未検証のツールを使用するリスク:
検証済みでコミュニティが信頼するソースからのスキャナーのみを使用してください。
Nov 29, 2025 Lachlan Davidson privately reports the vulnerability to Meta / React team
Dec 03, 2025 Patched packages published to npm CVE-2025-55182 publicly disclosed Vercel deploys runtime-level protections (not just WAF) Cloudflare WAF rules activated Mass automated scanning begins within hours of disclosure
Dec 04, 2025 First working public exploit released by Moritz Sanft Default create-next-app confirmed exploitable with no changes
Dec 05, 2025 Discoverer Lachlan Davidson releases his own PoC (~30 hours post-disclosure) Active exploitation observed in Datadog and Rapid7 honeypots Darktrace honeypot infected in 2 minutes after deployment
Dec 05–08 "emerald" and "nuts" malware campaigns deploy Cobalt Strike, Sliver, Nezha, FRP, Secret-Hunter; Mirai and Rondo botnets also active 362 unique attacker IPs observed; 152 with identifiable payloads
Dec 08, 2025 Rapid7 confirms exploitation using the public PoC
Dec 11, 2025 Follow-on CVEs disclosed: CVE-2025-55183 and CVE-2025-55184
Dec 12, 2025 Google GTIG identifies China-nexus threat clusters Iran-nexus activity also flagged
Dec 15, 2025 Microsoft confirms hundreds of compromised machines Coin miners and backdoors (SNOWLIGHT, HISONIC) deployed at scale Microsoft Defender for Cloud templates published
Dec 17, 2025 ⚠️ [NEW] Ransomware operators confirmed using React2Shell for initial access — malware deployed in under one minute post-exploitation (Reported by BleepingComputer, based on S-RM and Microsoft Defender)
Dec 29, 2025 AWS formally attributes activity to Earth Lamia and Jackpot Panda AWS Network Firewall Active Threat Defense rules updated
Jan 06, 2026 GreyNoise publishes full attacker fingerprint dataset (8.1M+ attack sessions recorded)
Jan 13, 2026 ⚠️ [NEW] IronGate Security identifies DPRK (North Korea) exploitation Indicators linked to Contagious Interview campaign EtherRAT (blockchain C2 backdoor) deployed post-exploitation Attacker staging involves downloading Node.js runtime before payload
Jan 26, 2026 Additional DoS vulnerability CVE-2026-23864 disclosed and patched
Mar 04, 2026 Dynatrace advisory updated with latest remediation guidance
---
## 参考文献
| ソース | リンク |
|---------------------------------|-----------------------------------------------------------------------------------------------|
| React公式アドバイザリ | https://react.dev/blog/2025/12/03/critical-security-vulnerability-in-react-server-components |
| React2Shell（発見者） | https://react2shell.com |
| Next.jsアドバイザリ | https://nextjs.org/blog/CVE-2025-66478 |
| Wiz詳細分析 | https://www.wiz.io/blog/critical-vulnerability-in-react-cve-2025-55182 |
| Microsoftセキュリティブログ | https://www.microsoft.com/en-us/security/blog/2025/12/15/defending-against-the-cve-2025-55182-react2shell-vulnerability-in-react-server-components/ |
| Google脅威インテリジェンス | https://cloud.google.com/blog/topics/threat-intelligence/threat-actors-exploit-react2shell-cve-2025-55182 |
| AWSセキュリティ速報 | https://aws.amazon.com/security/security-bulletins/AWS-2025-030/ |
| AWS China-Nexus帰属分析 | https://aws.amazon.com/blogs/security/china-nexus-cyber-threat-groups-rapidly-exploit-react2shell-vulnerability-cve-2025-55182/ |
| Palo Alto Unit 42 | https://unit42.paloaltonetworks.com/cve-2025-55182-react-and-cve-2025-66478-next/ |
| Trend Microリサーチ | https://www.trendmicro.com/en_us/research/25/l/CVE-2025-55182-analysis-poc-itw.html |
| GreyNoise観測グリッド | https://www.greynoise.io/blog/cve-2025-55182-react2shell-opportunistic-exploitation-in-the-wild-what-the-greynoise-observation-grid-is-seeing-so-far |
| Darktrace分析 | https://www.darktrace.com/blog/react2shell-how-opportunist-attackers-exploited-cve-2025-55182-within-hours |
| Dynatraceアドバイザリ | https://www.dynatrace.com/news/blog/cve-2025-55182-react2shell-critical-vulnerability-what-it-is-and-what-to-do/ |
| BleepingComputer — ランサムウェア | https://www.bleepingcomputer.com/news/security/critical-react2shell-flaw-exploited-in-ransomware-attacks/ |
| IronGate — DPRK活動 | https://www.irongatesecurity.com/ironintel/react2shell-cve-2025-55182 |
| NVDエントリ | https://nvd.nist.gov/vuln/detail/CVE-2025-55182 |
---
**脆弱性クレジット：**
発見および責任ある開示は **Lachlan Davidson**（2025年11月29日）によるものです。
---
*最終更新：2026年4月16日*
*この文書は教育および防御的なセキュリティ目的のみで提供されます。*
| CVE ID | 説明 | 重大度 | ステータス |
|---|
| CVE-2025-55182 | RSC リモートコード実行 — 本脆弱性 | 10.0 | パッチ適用済み |
| CVE-2025-66478 | Next.js 下流 RCE（重複確認済み） | 10.0 | 却下 — 重複 |
| CVE-2025-55183 | RSC 経由のソースコード露出 | 5.3 | 19.2.2+ でパッチ適用済み |
| CVE-2025-55184 | RSC パーサーにおける無限ループによるサービス拒否 | 7.5 | 19.2.2+ でパッチ適用済み |
| CVE-2025-67779 | DoS — CVE-2025-55184 の不完全な修正 | 7.5 | 19.2.3+ でパッチ適用済み |
| CVE-2026-23864 | 追加の RSC サービス拒否（2026年1月） | 7.5 | パッチ適用済み |